wangwanjie/gately

从 Releases 下载对应平台的压缩包（Linux amd64/arm64/arm/mips/mipsle/riscv64、macOS、Windows、FreeBSD），解压后运行：

./gately -c /etc/gately

参数：-c 配置目录（也可用环境变量 GATELY_CONFIG_DIR），-listen 覆盖管理界面监听地址，-apply 每次启动把目录中的 <名称>.json 覆盖到配置目录（环境变量 GATELY_APPLY_DIR，适合 GitOps 与 Kubernetes；账号与令牌文件不允许覆盖），-version 输出版本。无人值守安装时可设置环境变量 GATELY_INITIAL_PASSWORD 指定管理员初始密码，代替默认密码 gately.cn。

服务模板：systemd、OpenWrt procd。校验下载的压缩包与镜像（cosign 签名、构建来源证明、SBOM）见校验发布产物。

每个 Release 附带飞牛 fnOS 的离线安装包 gately_<版本>_fnos_x86.fpk（Intel/AMD）与 gately_<版本>_fnos_arm.fpk（ARM）。它们没有上架官方应用中心，需要手动安装：打开 应用中心 → 手动安装（左下角按钮），选择文件并完成向导。

• 支持飞牛统一网关：点击飞牛桌面上的 Gately 图标，管理界面经飞牛统一网关在 /app/gately/ 下打开，与飞牛共用同一个访问入口。局域网地址、远程访问飞牛的域名都能直接使用，无需额外开放或映射 16680 端口。经网关访问时由飞牛负责访问控制（只有飞牛管理员能打开），安全入口与“仅允许内网访问”只约束直接访问 16680 端口。
• 支持飞牛管理员登录态直接登录：在 设置 → 访问控制 → 飞牛登录态自动登录 开启后，已登录飞牛的管理员点击桌面图标即可进入 Gately，无需密码与两步验证码；普通飞牛用户仍需登录。主动退出后，登录页会显示“使用飞牛账号 <用户名> 登录”按钮，不会静默重新登录。该开关默认关闭，只在飞牛安装包中显示。
• 局域网内也可直接访问 http://<NAS 地址>:16680。默认账号 admin，默认密码 gately.cn。
• 应用以 root 身份运行，因此可以监听 80/443、通过 docker.sock 管理 Docker、使用真实的 Web 终端。请只安装在自己掌控的 NAS 上。
• 配置保存在应用的 var 目录，卸载时默认保留；在卸载向导里选择“全部删除”才会清除。升级时手动安装新版 .fpk 即可。
• 安装包同时提供命令行入口 gately（/usr/local/bin/gately），可使用 gately ctl 与 gately mcp。
• 16680 端口与 Docker 镜像相同，启动原生应用前请先停止 gately 容器。
• 下载后可按校验发布产物校验，.fpk 的 SHA-256 同样列在 checksums.txt。

每个 Release 附带 OpenWrt 安装包：gately_<版本>_openwrt_<架构>.ipk 用于 OpenWrt 24.10 及以前（含 iStoreOS），执行 opkg install 安装；.apk 用于 OpenWrt 25.12 起，执行 apk add --allow-untrusted 安装。架构有 amd64 / arm64 / arm / mipsle / mips / riscv64，按 /etc/openwrt_release 中的 DISTRIB_ARCH 选择，对照表见安装文档。

• 安装后自动启用开机自启并启动，管理界面为 http://<路由器地址>:16680，默认账号 admin，默认密码 gately.cn。
• 配置在 /etc/gately，升级、卸载与刷写固件（sysupgrade）时都会保留。升级时安装新版安装包即可，「关于」页的在线升级会提示改用包管理器。
• 程序约 32 MB，适合 x86 软路由、ARM64 盒子等存储较大的设备；arm 安装包需要 ARMv7 且带硬件浮点。
• 另附 LuCI 插件 luci-app-gately_<版本>_openwrt_all.ipk / .apk（与架构无关），安装后在 LuCI「服务 → Gately」中查看运行状态、启停服务、设置开机自启与管理界面端口，并一键打开管理界面。

创建一个只有 metrics:read 权限的 API 令牌，让 Prometheus 抓取 /api/metrics。指标列表、告警示例与 Grafana 面板见监控指标。

在管理后台“API 令牌”页创建令牌（可建多个，按模块分别授予只读或读写，可设过期时间，创建后明文只显示一次），脚本即可批量调用管理接口：

curl -H "Authorization: Bearer gtl_xxxx" http://localhost:16680/api/ddns/tasks

账号、两步验证、令牌管理以及备份、恢复、重启、系统设置接口只能使用登录会话。全部接口、所需权限与数据结构见管理后台“API 文档”页，也可以用 make api-docs 导出到 docs/api（openapi.json 与 API.md），官网 https://gately.cn 发布时直接引用。

从旧版升级时，原来的全局 API 令牌会自动变成一条“遗留令牌”（值不变，拥有全部模块权限），建议在 API 令牌页收紧权限或换成新令牌。

这四个模块托管官方的外部程序（自动重启、日志汇总到界面），Gately 本体不内置它们。各模块页面的「在线安装」卡片从上游下载最新正式版或指定版本，校验 SHA-256 后安装到配置目录的 bin/，并重启使用它的进程；可以为每个程序单独设置下载代理，留空时使用设置中的更新代理。替换下来的版本保留最近 3 个，新版本有问题时可一键回滚；不再需要时可以卸载程序。页头的「恢复默认配置」与卸载分开，会停止进程、清空模块设置并删除 Gately 为它生成的文件（frp 配置文件、File Browser 实例数据、Tailscale 与 NetBird 登录状态），旧配置可在配置历史中恢复。Tailscale 官方只为 Linux 提供可直接运行的程序包，其他系统请用官方安装程序并填写路径。程序按以下顺序查找：模块设置中填写的路径、配置目录下的 bin/、PATH。也可以自行把二进制放进配置目录，Docker 部署时例如 ./gately-data/bin/frpc；Tailscale 需要同时提供 tailscale 与 tailscaled。配置文件中的令牌与密钥以 0600 权限保存，cloudflared 的令牌通过环境变量传递，不会出现在进程列表中。

File Browser 模块托管 FileBrowser Quantum（原版 filebrowser 已归档、不再修复安全问题），查找顺序与在线安装、更新、回滚同上，安装位置为 bin/filebrowser。管理员密码通过环境变量传递，不写入配置文件。

• 机器：Intel Core i5-13500T。为贴近小型云服务器，每套方案限制在 2 个 CPU 核心（haproxy 与 nginx 在 Docker 中用 --cpuset-cpus，Gately 用 taskset 绑核），后端与压测程序运行在其他核心。
• haproxy 使用 mode tcp、req_ssl_sni 规则与 send-proxy-v2。nginx 使用 worker_processes 2 与生产站点的代理设置，其中 Connection: upgrade 会让每个请求新建一条后端连接；开启上游 keep-alive 的 nginx 在小响应上会缩小差距。
• Gately 的路径是 SNI 规则、PROXY v2、再到 Web 服务监听，跳数与 haproxy → nginx 相同。
• 每个场景运行 10 秒，重复测试的场景差异在 3% 以内。在真实的 2 vCPU 云主机上，静态站点为 5.5k req/s 对 3.4k req/s；客户端使用 X25519 时新建 TLS 连接持平（双方都约每秒 480–550 个），使用 Go 客户端与新版浏览器默认提供的后量子混合密钥交换时，Gately 在该次测试中完成的握手少约 13%。
• 结果受硬件、配置与流量影响，仅用于确认 Gately 能跟上 haproxy 与 nginx，请用自己的业务负载实测。